API key (clave de API)

Una API key es una cadena de letras y números, generada por el sistema que expone la API, que un programa externo presenta en cada llamada para identificarse. Funciona como una contraseña pensada para programas y no para personas: no se escribe en una pantalla de login, se configura una vez en la herramienta que se conecta. Muchos sistemas permiten crear varias, cada una con permisos distintos (solo lectura, solo ventas, todo) y revocarlas por separado.

Para una pyme hay tres prácticas que importan. Crear una por cada herramienta conectada, no compartir la misma entre todas: así, si una se filtra o se deja de usar, se anula sin afectar al resto. Darle el permiso mínimo que la herramienta necesita; un tablero de reportes no necesita permiso de escritura. Y registrar quién tiene cuál, porque cuando un proveedor externo deja de trabajar con la empresa, su acceso debe revocarse ese mismo día. Una API key con permisos totales que nadie recuerda haber creado es una puerta abierta al sistema.

Repuestos Ejemplo SA revisó las API keys de su sistema de gestión y encontró 7 activas: 3 de herramientas en uso, 2 de un desarrollador que había dejado de trabajar con ellos hacía 2 años, con permiso total, 1 de una prueba de 2023 y 1 que nadie identificó. Revocaron 4 y recrearon las 3 válidas con permiso de solo lectura, salvo la de la tienda online, que necesita crear pedidos. El proceso llevó una tarde y quedó un listado con responsable, fecha y permiso de cada una.

Para que un agente de Pulso lea un sistema de gestión, la empresa genera una API key (o un usuario de solo lectura, según el sistema) y la configura en la integración. La recomendación es crear una específica para Pulso con permisos de lectura; solo el Conciliador necesita permiso para cargar comprobantes, y únicamente sobre ese módulo. La empresa puede revocarla en cualquier momento desde su sistema.